.png)
PCI DSS
PCI-DSSとは何ですか？
PCI DSSは Payment Card Industry Data セキュリティ Standardの略で、 American Express、Discover Financial Services、JCB International、MasterCard、Visaといった主要なクレジットカードネットワークからのブランドクレジットカードを取り扱い、受け入れる組織向けの情報セキュリティ基準のセットです。PCI DSSは2006年から存在しており、現在、対象となる組織はPCI DSS 3.2.1に準拠することが義務付けられています。PCIデータセキュリティ基準に準拠した企業や企業は顧客からより信頼されており、機密情報を安全に守っているという安心感を与えられます。これらの基準を遵守しないと セキュリティ侵害が発生し、結果として収益や顧客ロイヤルティの深刻な損失を招く可能性があります。
新しいバージョンである PCI DSS 4.0 は現在 RFC (コメント要求) 段階にあり、2021 年半ばに完了する予定です。PCI Council によれば、PCI DSS 3.2.1 は、 PCI DSS 4 のすべての資料がリリースされた後も 18 か月間はアクティブなままになります。
PCI 標準は、カード ネットワークおよびカード インタラクションを利用する企業によって施行されますが、管理はPayment Card Industry Security Standards Councilによって行われます。セキュリティ標準協議会は、すべてのコンプライアンス情報とポリシーが最新の状態に保たれ、企業にとって最も正確で役立つ情報が提供されることを保証します。
PCI DSSに準拠する必要があるのは誰ですか?
PCI データ セキュリティ標準 (PCI DSS) の目標は、カード所有者データ (CHD) と機密認証データ (SAD) が処理、保存、または送信される場所を問わず保護することです。支払いのセキュリティを維持することは、カード会員データを保存、処理、または送信するすべての組織に必要です。
PCIセキュリティ標準には、次の技術的および運用要件が含まれています。
- 支払トランザクションを受け入れる、または処理する組織
- これらの取引で使用されるアプリケーションおよびデバイスのソフトウェア開発者およびメーカー
2018年5月にリリースされたPCI 3.2.1は、対象となる組織が遵守しなければならない現在のバージョンです。
コンプライアンスの検証は、年間処理されるクレジット カード取引量の関数である、組織の加盟店レベルの指定に適した方法によって、年次または四半期ごとに実行されます。
PCI加盟店レベルと監査および報告要件の概要
以下の表は、PCI加盟店レベルの概要、各レベルで通常使用される一般的な支払いアーキテクチャ、および対応するPCI監査およびレポート要件を示しています。注:クレジットカード会社によって加盟店レベルのベンチマークには微妙な違いがあるため、読者はPCIアドバイザリーおよびQSAパートナーに相談して、組織に適用される要件を正確に評価することをお勧めします。
12 PCI DSSの要件
PCI DSS 3.2.1 には、6 つの目標、12 の要件、78 の基本要件、および 400 を超えるテスト手順が含まれています。以下の表は、PCI DSS の目標と関連要件をまとめたものです。サブ要件とテストの詳細については、 PCI DSS リファレンス ガイドを参照してください。
PCI不準拠による潜在的なリスク
PCI DSS が導入されてから 12 年以上経ちますが、多くの組織は監査中に重大な不利な発見に直面し続けています。いくつかの組織は、最近 PCI 監査に合格した後も、データ侵害を経験したと報告し続けています。ここで重要なのは、コンプライアンスは必ずしもデータとアプリケーションが安全であることを意味するわけではないということです。コンプライアンスはベースラインとして捉えるべきであり、組織はコンプライアンス義務によって必ずしもカバーされていない脅威ベクトルを特定し、軽減することにも重点を置く必要があります。
最も一般的なPCI コンプライアンスの課題は次のとおりです。
- PCI監査の範囲を管理し、コストを抑制する必要がある。PCIセキュリティ理事会は スコープ設定とネットワークセグメンテーションのためのガイドを発表しました。この文書は、対象組織がCDE(カードホルダーデータ環境)コンポーネント、PCI接続およびPCIセキュリティに影響を与えるシステム、範囲外コンポーネントを特定するための枠組みを提供します。残念ながら、スコーピングとセグメンティングのフレームワークの実行は、データセンター環境や決済アーキテクチャのますます動的かつ複雑化する性質のため、多くの組織にとって困難です。PCIコンポーネントのインベントリを埋め維持するために静的な時点データやネットワークフローマップに依存し、ITの変更や ファイアウォール の変更管理の不一致が、スコープ設定やセグメンテーションの誤りを生み、結果としてPCI評価の失敗や監査コストの増加につながります。
- PCIセキュリティコンプライアンスおよびセグメンテーション体制を継続的に維持できないこと。PCIセキュリティ標準は、組織がPCIセグメンテーションの姿勢を継続的に維持し、PCI要件および基本要件に継続的に準拠していることを保証しています。動的で複雑なデータセンターや決済アーキテクチャと、セキュリティプロセスやIT運用の不一致が、セキュリティと管理のギャップを生み出しています。ITの慣行の結果、PCIコンポーネントは同じゾーン、VLAN、またはサブネット内で非PCIコンポーネントと混在し、CDEへのトラフィックを制限する追加の制御がなくなることがよくあります。場合によっては、IT変更管理、リソースプロビジョニング、ファイアウォール変更管理のプロセス間の連携不足により、対象となるPCI接続システムのインベントリが不正確になったり、ファイアウォールルールが誤って設定されたりする事態が生じる。脆弱性 管理 やパッチ管理の不備も、組織がPCIセキュリティ体制を継続的に維持することを妨げます。 Verizon決済セキュリティレポート は、決済セキュリティのトレンドと組織が引き続き直面している重要なセキュリティ課題を詳細にレビューしています。ベライゾンは2010年から毎年この報告書を発行している。2020年の報告書において、著者らは以下のPCI要件に最も深刻な管理上の欠陥があると結論付けている。
- 要求11。セキュリティシステムとプロセスのテスト
- 要求5。悪意のあるソフトウェアからの保護
- 要求10。アクセスの追跡と監視
- 要求12。セキュリティ管理
- 要求8。アクセスの認証
- 要求1.ファイアウォール構成のインストールと保守
- フラットなネットワークを持つ。驚くべきことに、今日の多くの組織は、設計が簡単で、運用と保守が容易なフラットネットワークを引き続き使用しています。ただし、フラットネットワークとは、環境内のすべてのもの(PCI接続されていないコンポーネントやCDE以外のコンポーネントを含む)がPCIの範囲内にあることを意味し、PCI監査コストが高くなります。フラットネットワークとは、悪意のある攻撃者が単一のホストを侵害することに成功した場合、ネットワークを簡単に通過し、決済アプリケーションやカード所有者データベースにアクセスできることも意味します。
- リモートワーク運用モデルへの移行を確実にする必要があります。組織がオールリモートワークの運用モデルに移行するにあたり、これらの変更がPCI環境の範囲にどのような影響を与えるか、またCDEへの正当なトラフィックを制御するためにどのような追加の制御を実装する必要があるかを評価する必要があります。例としては、従業員のラップトップから支払いアプリケーションへの許可された管理者の正当なリモートアクセスの保護、リモートのカスタマーサポートと請求の保護、インターネットに接続する非接触型キオスクとデータセンターアプリケーション間のオンサイトの非接触型接続の保護などがあります。
PCI Data Security Standardの一般的な実装上の課題は何ですか?
ワークロード、ユーザー、デバイス、およびその接続とフローをリアルタイムで可視化することは、次の場合に重要です。
- PCI 環境の範囲が最新かつ正確であることを確認し、セグメンテーションとファイアウォールのルールが正しく適用されていることを意味します。
- 義務付けられた四半期ごとの内部脆弱性スキャンに貴重な情報を提供し、この情報を使用して、脆弱性に関連する潜在的な横方向攻撃経路をマッピングします。
- 潜在的な攻撃の兆候となる可能性のあるワークロード、デバイス、ユーザー、接続の変更、および接続試行の失敗がないか、PCI 環境を継続的に監視します。
- PCI準拠要件でカバーされていない 攻撃面 や脅威ベクトルの変化を特定すること。
効果的なPCI DSSコンプライアンスにおけるリアルタイムの可視性の重要性
- リアルタイムの可視性により、CDE、PCI接続、PCIセキュリティに影響を与えるすべての接続を継続的に監視し、PCIスコープの正確性を確保します。これらはすべてPCIの範囲内です。組織はホストベースの マイクロセグメンテーション を適用し、PCI環境への受信および送信トラフィックを「許可」または「正当」なもののみに制限するファイアウォールルールを強制できます。（要件１）
- PCI環境の効果的かつ正確なセグメンテーションを継続的に維持することで、PCI監査コストを管理できます。
- 誤って設定されたファイアウォールルールや古いファイアウォールルールを排除することで、対象となる組織が潜在的なデータ侵害にさらされる可能性が軽減されます。
- IT 自動化ツール (Chef、Puppet、Ansible、Terraform など) との統合を利用して、ワークロード リソースのプロビジョニングと本番環境へのリリースと同時に、セグメンテーション ポリシーが確実にプロビジョニングされるようにします。
- リアルタイムでの可視性により、組織がリモートワークに移行する際のPCIスコープの変更を組織が評価するのに役立ちます。組織が重要な管理ギャップや潜在的な攻撃経路を特定するのに役立ちます。組織はホストベースのマイクロセグメンテーションを適用し、家庭用デバイスからリモートユーザーのノートパソコンへのピアツーピア接続を制限し、ユーザーとデータセンターのアプリケーション接続を制御できます。
- 複数のVLAN、ゾーン、サブネットに分散している承認されたPCIワークロード、ユーザー、デバイス間の接続を制御し、ネットワーク環境を再設計することなく、IT運用の変更に対応します。
- クラウドネイティブやグリーンフィールド環境では、 組織はコンテナオーケストレーション プラットフォームとの統合を活用し、ワークロード開始時に「セグメンテーションポリシー」をプロビジョニングできます。
- PCI準拠要件を直接満たすことに加え、組織はマイクロセグメンテーションを適用して攻撃面を減らし、 ラテラルムーブメントを妨げ、 ランサムウェアの急速な拡散を封じ込めることができます。
ホストベースのマイクロセグメンテーションを活用してPCIコンプライアンスおよびサイバーセキュリティの課題に取り組む
- リアルタイムの可視性により、PCI の範囲内にある CDE、PCI 接続システム、および PCI セキュリティに影響するシステムのすべての接続を継続的に監視することで、PCI スコープの正確性を確保できます。組織は、ホストベースのマイクロセグメンテーションを適用して、適用可能なファイアウォール ルールを強制し、PCI 環境への受信トラフィックと送信トラフィックを「許可」または「正当な」トラフィックのみに制限することができます。（要件1）
- PCI環境の効果的かつ正確なセグメンテーションを継続的に維持することで、PCI監査コストを管理できます。
- 誤って設定されたファイアウォールルールや古いファイアウォールルールを排除することで、対象となる組織が潜在的なデータ侵害にさらされる可能性が軽減されます。
- IT 自動化ツール (Chef、Puppet、Ansible、Terraform など) との統合を利用して、ワークロード リソースのプロビジョニングと本番環境へのリリースと同時に、セグメンテーション ポリシーが確実にプロビジョニングされるようにします。
- リアルタイムでの可視性により、組織がリモートワークに移行する際のPCIスコープの変更を組織が評価するのに役立ちます。組織が重要な管理ギャップや潜在的な攻撃経路を特定するのに役立ちます。組織はその後、ホストベースのエグメンテーションを適用し、家庭用デバイスからリモートユーザーのノートパソコンへのピアツーピア接続を制限し、ユーザーとデータセンターのアプリケーション接続を制御できます。
- 複数のVLAN、ゾーン、サブネットに分散している承認されたPCIワークロード、ユーザー、デバイス間の接続を制御し、ネットワーク環境を再設計することなく、IT運用の変更に対応します。
- クラウドネイティブおよびグリーンフィールド環境では、組織はコンテナオーケストレーションプラットフォームとの統合を利用して、ワークロードの誕生時に「セグメンテーションポリシー」をプロビジョニングできます。
- PCI準拠要件を直接満たすことに加え、組織はマイクロセグメンテーションを適用して攻撃面を減らし、ラテラルムーブメントを妨げ、 ランサムウェアの急速な拡散を封じ込めることができます。
詳しく見る
PCIに準拠し、顧客と会社を保護するための手順を今すぐ実行してください。
マイクロセグメンテーションがPCI DSSの範囲を縮小し、コンプライアンスを達成するのに役立つ方法については、ホワイトペーパー「PCIコンプライアンスを効果的にセグメント化するための3つのステップ」をご覧ください。
%20(1).webp)
.webp)
